Der Hardware-Wallet-Hersteller Trezor hat die maximale Länge seiner Passphrase von 50 auf 128 Zeichen erhöht und verweist dabei auf Lehren aus Kryptowährungsdiebstählen, bei denen Anfang dieses Jahres anfällige Coldcard-Geräte betroffen waren.
Zusammenfassung
- Trezor hat mit seinem Software-Update vom Oktober das Passphrase-Limit seiner Wallet von 50 auf 128 Zeichen erweitert.
- Die Funktion erfordert aktualisierte Firmware und unterstützt die Geräte Model T, Safe 3, Safe 5 und Safe 7.
- Trezor verwies auf die Coldcard-Angriffe vom Juli, bei denen schwache Wiederherstellungsphrasen Bitcoin-Wallets dem Diebstahl aussetzten.
- Starke, einzigartige Passphrasen schützten Berichten zufolge einige betroffene Coldcard-Nutzer vor unmittelbaren Verlusten.
- Der Ankündigung ging eine separate Warnung über möglicherweise manipulierte Hardware-Wallets voraus, die über CryptoBilis verkauft wurden.
Laut Trezors Ankündigung vom 1. November ist die Änderung über das Software-Update vom Oktober verfügbar und erfordert eine kompatible Geräte-Firmware. Das Unternehmen erklärte, längere Passphrasen böten erfahrenen Nutzern eine weitere Möglichkeit, Kryptowährungsbestände zu sichern, wenn Wallet-Wiederherstellungsinformationen offengelegt werden.
Der Ankündigung ging der Coldcard-Sicherheitsvorfall vom Juli voraus, bei dem Angreifer unsachgemäß generierte Wiederherstellungsphrasen ausnutzten, um auf Tausende von Bitcoin-Adressen zuzugreifen.
Trezor erweitert Passphrasen auf 128 Zeichen
Die aktualisierte Funktion ermöglicht es Nutzern, Passphrasen mit bis zu 128 Zeichen zu erstellen, verglichen mit dem bisherigen Limit von 50 Zeichen.
Die Unterstützung umfasst das Trezor Model T, Safe 3, Safe 5 und Safe 7. Das ältere Trezor Model One unterstützt weiterhin Passphrasen von bis zu 50 Zeichen.
Kunden müssen Trezor Suite und die Firmware ihres Geräts aktualisieren, um das erweiterte Limit zu nutzen. Geräte mit älterer Firmware unterliegen weiterhin der bisherigen Beschränkung.
Laut Trezors Support-Dokumentation sind Passphrasen optionale Sicherheitsfunktionen, die zusammen mit der Wiederherstellungsphrase einer Wallet funktionieren.
Eine Wiederherstellungsphrase liefert die Informationen, die zur Wiederherstellung einer Kryptowährungs-Wallet erforderlich sind, während eine zusätzliche Passphrase eine separate Wallet mit anderen Adressen und Guthaben erstellt.
Der Zugriff auf die geschützte Wallet erfordert sowohl die ursprünglichen Wiederherstellungsinformationen als auch die exakte Passphrase, die vom Eigentümer gewählt wurde.
Ein Nutzer kann ein einzelnes Wort, eine längere Phrase oder eine andere unterstützte Zeichenkombination wählen. Das Unternehmen empfiehlt, die Informationen privat zu halten und sicher aufzubewahren.
Anders als ein Kontopasswort, das über einen Dienstanbieter zurückgesetzt werden kann, kann eine Wallet-Passphrase nicht von Trezor wiederhergestellt werden.
Die Eingabe einer anderen Passphrase öffnet eine andere Wallet, die möglicherweise leer erscheint, selbst wenn die ursprüngliche Wallet noch Guthaben enthält.
Coldcard-Angriffe legten schwache Wallet-Wiederherstellungsphrasen offen
Trezor brachte das Update mit den im Juli 2026 offengelegten Coldcard-Angriffen in Verbindung, als ein Firmware-Problem einige Bitcoin-Wiederherstellungsphrasen anfällig für Rekonstruktion machte.
Wie crypto.news zuvor berichtete, erzeugte die Coldcard-Firmware Wiederherstellungsinformationen mit deutlich weniger Zufälligkeit als beabsichtigt.
Der Fehler reduzierte die effektive Zufälligkeit der betroffenen Wallet-Seeds von etwa 128 Bit auf 40 Bit.
Angreifer konnten anfällige Wiederherstellungsphrasen potenziell durch wiederholte Berechnungen rekonstruieren, wodurch sie auf Wallets zugreifen konnten, ohne die Geräte physisch zu erlangen.
Während eines Angriffs am 31. Juli wurden innerhalb von 25 Minuten etwa 594 BTC im Wert von 38 Millionen Dollar aus rund 500 betroffenen Wallets gestohlen.
Nachfolgende Untersuchungen identifizierten weitere mutmaßliche Diebstähle, an denen Tausende von Bitcoin-Adressen beteiligt waren.
Bis zum 12. August hatten die in der Berichterstattung über Coldcard-Verluste zitierten Schätzungen etwa 116 Millionen Dollar über mehr als 5.200 Adressen erreicht.
Trezor erklärte, dass einige Coldcard-Nutzer unmittelbare Verluste vermieden, weil ihre Wallets eine zusätzliche Passphrase erforderten, die Angreifer nicht aus den kompromittierten Wiederherstellungsinformationen rekonstruieren konnten.
Eine starke Passphrase bot zusätzlichen Schutz, selbst wenn die zugrunde liegende Wiederherstellungsphrase gefährdet war.
Längere Passphrasen erfordern eine sorgfältige Aufbewahrung
Obwohl das erweiterte Limit mehr Zeichen erlaubt, warnte Trezor, dass Nutzer dauerhaft den Zugriff auf ihre Gelder verlieren könnten, wenn sie ihre Passphrase vergessen.
Jedes Zeichen muss mit der ursprünglichen Eingabe übereinstimmen, einschließlich Groß- und Kleinschreibung sowie Leerzeichen.
Die Anleitung des Unternehmens erklärt, dass Passphrasen unabhängige Wallets erzeugen, was bedeutet, dass ein kleiner Tippfehler ein völlig anderes Konto anzeigen kann.
Nutzer müssen daher überprüfen, ob sie ihre gewählte Wallet erneut öffnen können, bevor sie Kryptowährung dorthin übertragen.
Der Hersteller empfiehlt, Passphrasen sicher aufzuzeichnen und den Zugriff regelmäßig zu testen.
Coldcard reagierte auf seine Schwachstelle vom Juli mit der Veröffentlichung aktualisierter Firmware und riet betroffenen Kunden, neue Wiederherstellungsphrasen zu erstellen.
Im August führte das Unternehmen zusätzliche Anforderungen an die Zufälligkeit für neu generierte Wallet-Seeds ein.
Der aktualisierte Prozess verlangt von den Nutzern, unvorhersehbare Eingaben durch Tastaturaktivität, Würfelwürfe oder Münzwürfe beizusteuern.
Coldcard warnte, dass die Installation der korrigierten Firmware keine Wiederherstellungsphrasen repariert, die mit anfälligen Versionen erstellt wurden.
Trezor gibt separate Warnung zu manipulierten Geräten heraus
Die Ankündigung zur Passphrase folgt auf eine weitere Sicherheitswarnung zu Hardware-Wallets, die über den ehemaligen autorisierten Wiederverkäufer CryptoBilis vertrieben wurden.
Am 30. Oktober warnte Trezor Kunden vor einer vermuteten Manipulation, nachdem ein indonesischer Käufer berichtet hatte, in einem Safe-5-Gerät eine zusätzliche Platine entdeckt zu haben.
Laut dem Unternehmen könnte das vermutete Implantat potenziell sensible Informationen sammeln, einschließlich Wallet-Wiederherstellungsphrasen.
Trezor erklärte, es habe Fotos geprüft und den Kunden befragt, das Gerät jedoch nicht physisch untersucht.
Das Unternehmen meldete keine bestätigten Kryptowährungsverluste im Zusammenhang mit der vermuteten Modifikation.
Kunden, die Trezor-Wallets über CryptoBilis ab März 2026 gekauft haben, wurde empfohlen, ihre Vermögenswerte in neu erstellte Wallets mit neuen Wiederherstellungsphrasen zu übertragen.
Trezor erklärte, betroffene Kunden könnten Ersatzgeräte oder Gutscheine anfordern, während seine Untersuchung mit Unterstützung des SEAL-911-Reaktionsdienstes der Security Alliance fortgesetzt wird.
